하드웨어 지갑 제조사들이 가장 두려워하는 것은 개인키 해킹이 아니다. 누군가 당신의 집 주소, 전화번호, 최근 온라인 쇼핑 수령 주소를 알게 되는 것이다. Trezor는 목요일, 협력 물류업체 ShipMonk의 시스템이 해커에게 침해당해 약 1만 4천 명 고객의 기밀 개인정보가 전부 유출됐다고 확인했다. 피해자는 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈에 걸쳐 있다.
유출 규모를 세부적으로 보면, 11,742명 고객의 이름, 이메일, 전화번호, 수령 주소가 완전히 노출됐다. 또 1,947명의 이름, 거주 도시, 이메일도 함께 유출됐다. Trezor는 소셜 플랫폼 X를 통해 "무거운 소식을 알려드려야 한다"고 발표했으며, 이미 이메일로 영향을 받은 모든 이용자에게 통지했다고 밝혔다. 만약 메일을 받지 못했다면 개인정보는 안전하다는 의미다. Amazon을 통해 제품을 구매한 소비자는 별도의 독립 물류 파트너를 이용하기 때문에 영향을 받지 않았다.
Trezor는 자체 내부 시스템은 해킹당하지 않았으며, 기기 단의 암호화 보호 장치는 "지금까지 단 한 번도 원격으로 뚫린 적이 없다"고 강조했다. 즉 암호화폐 자체가 도난당한 것은 아니다. 하지만 문제는 바로 이 틈새에 있다. 주소와 전화번호가 한번 유출되면, 사기범들은 아무것도 해킹할 필요 없이 수령 정보를 그대로 이용해 악성코드가 심어진 가짜 콜드월렛을 집으로 보내거나, 은행·거래소 혹은 Trezor 본사를 사칭해 전화를 걸어 비밀번호와 개인키를 요구할 수 있다. Ledger는 2020년 약 30만 명의 고객 데이터가 유출된 이듬해, 위조 콜드월렛을 실물 우편으로 보내는 사기 사례가 등장했는데, 수법이 거의 똑같다.
이번이 Trezor가 제3자 문제로 곤경에 처한 첫 사례는 아니다. 모회사인 Satoshi Labs는 올해 1월 고객 서비스 시스템 해킹으로 6만 6천 명이 피해를 입었고, 2022년 4월에도 10만 명이 넘는 고객의 개인정보가 노출된 바 있다. 하지만 이번은 회사 설립 13년 만에 처음으로 전화번호와 수령 주소까지 함께 유출된 사례다. 기기 자체는 안전하다고 해서 기기를 소유한 사람이 안전하다는 뜻은 아니다. 블록체인 보안 기관 Certik의 집계에 따르면, 올해 상반기에만 대면 협박형 강도 사건으로 인한 손실액이 1억 2,400만 달러에 달했다.
Trezor는 현재까지 유출된 개인정보가 공개되거나 거래된 정황은 발견되지 않았고, 관련 사기 신고도 없다고 밝혔다. 하지만 수령 주소가 한번 유출되면, 그 위험은 대개 뉴스의 열기가 식는다고 해서 함께 사라지지 않는다.
